Protection des fichiers image et texte et bande passante

La protection des images.

Quel est le problème ?
L’internaute fait un copier coller de l’image ou de l’url de l’image pour copier le tout dans un forum, un blog ou un autre site web. A chaque visite de ce site, l’image est affichée et consomme la bande passante du site hébergeur ; pour peu que l’internaute indelicat ait choisi comme avatar une image de votre serveur et que celui ci ait une grande popularité sur son forum ; voila votre bande passante utilisée à vos depends.

-  Contre la copie de l’url ou un lien direct vers une image, un fichier :
Directement il n’est pas possible de faire quoi que se soit.
Indirectement, il est cependant possible d’empécher que l’image, le fichier soit disponible

-  Explications :
Comment faire pour éviter que des sites externes fassent des liens sur vos fichiers au détriment de votre bande passante.

-  Le principe :
Il s’agit de détecter l’origine du visiteur, pour une certaine catégorie de fichiers identifiés par leur extension, puis d’interdire l’acces pur et simple

-  Coté methode :
C’est par le fichier .htaccess avec le mode rewrite du serveur apache actif que cette interdiction pourra être mise en place, ce qui signifie que les webmasters n’ayant pas accés à ce fichier ou ce mode rewrite au niveau du serveur, doivent utiliser une autre technique

-  Coté technique :
Il s’agira simplement de renseigner dans le fichier .htaccess, le mode rewrite et ensuite d’interdire l’acces selon la syntaxe suivante

RewriteEngine on

RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^http://votresite.tld
ReWriteRule .*\.(gif|png|jpe?g)$ - [F]

Ce qui se traduit en langage naturel par :
• Pour tout referent non vide (cas d’un visiteur direct) et pour un referent different de votre nom de domaine,
• Les fichiers de type gif ou png ou jpg ou jpeg sont interdits.
D’autres extensions peuvent être rajoutées selon vos besoins (pdf, mpeg, mp3, mid, swf ...)

Pour plus d’infos sur cette technique, voyez l’article consacré au
fichier .htaccess - et la mise en place de l’url rewriting
-  Les limites :
Cette technique, si elle ne protège correctement votre bande passante, n’interdit pas pourtant les accés au serveur et générent tout de même un acces fichier.
De plus, dans le cadre des fichiers images, le visiteur qui fait un lien sur votre fichier a, au préalable, visité la page où se trouve le fichier en question. Il a donc votre fichier image dans le cache de son navigateur. Lorsque il publie, par exemple dans un forum, le fichier image par un lien de type

il verra bien l’image dans son post donc ne sait pas que cette image ne s’affichera pas. Les autres visiteurs qui liront le message ne verront eux que la croix rouge caractéristique d’une image inaccessible.

Cette protection par le .htaccess peut donc être insuffisante, il serait plus judicieux de mettre sur ses pages d’images, un avertissement.

La protection de la bande passante

Dernier volet pour le webmaster désirant protéger son contenu, la protection par rapport aux aspirateurs de site ou robot indélicats.
-  Quel est le problème :
Face à la montée en charge anormale du traffic de son site, parce qu’un visiteur indélicat utilise un programme aspirateur de site, que peut faire le webmaster. Plusieurs solutions :
-  Un fichier de configuration empêchant l’accés à certains robots avec le fichier robots.txt. (Ce fichier robots.txt est un fichier texte, qui se trouve de manière unique à la racine du site, et dans lequel se trouve des informations à destination des robots d’indexation).
L’inconvenient est de devoir connaître ces robots aspirateur par leur nom d’agent et de maintenir à jour cette liste
-  Un fichier de contrôle d’acces des aspirateurs interdisant l’acces avec le fichier .htaccess.

L’inconvenient tient également au fait que cette programmation n’est pas générique et nécessite de maintenir à jour la liste des robots.
Et dans ces cas où le robot ou le programme aspirateur passe outre ces deux barrières, il ne reste rien d’autre que le fichier script.

-  Le script anti aspirateur :

C’est ce que nous propose ce script anti aspirateur.
Son principe est de déterminer le nombre de pages visitées en une minute, au delà d’un certain nombre de pages, ce n’est pas un visiteur normal, mais un logiciel ; dans ce cas alors le visiteur est bloqué, plus aucune nouvelle page ne lui est délivrée.
Du coté des moteurs de recherche, le script fonctionne également et un moteur trop gourmand qui indexe tout le site trop rapidement se vera également bloqué.

-  Mais l’indexation par les moteurs de recherche ?
Ce script fonctionne très bien avec les grands moteurs de recherche qui ont comme règle de respecter le trafic et la bande passante des serveurs qu’ils indexent.

-  Et coté technique ?
Ce script anti aspirateur est écrit en php et utilise deux tables en base de donnée Mysql. Il peut se mettre aisement dans un fichier header pour couvrir tout le site

-  Implémentation sous SPIP
Le script anti aspirateur de site a été implémenté dans un site sous SPIP en local puis testé en ordre de marche normal et en mode dégradé.
Installation
Le script a été rajouté dans le fichier inc-public.php3 avec la ligne suivante :
include($DOCUMENT_ROOT.« /trace_ip.php ») ;
Les tests
Deux tests ont été menés
Les tests ont consisté a faire tourner un robot /aspirateur de site en jouant sur le nombre de pages aspirées par minute.
La valeur mini correspond à une seule page lue à la fois, la valeur maxi était 100 pages lues en même temps.
Dans le permier cas toutes les pages ont été accédées (valeur mini), dans l’autre cas quelques pages ont été lues (valeur maxi) et le script anti aspirateur a interdit la suite de l’aspiration en bloquant l’adresse IP.
Une analyse du fichier log apache a permis de vérifier que seules les pages du caches ont été lues, il n’y a pas eu de recalcul de pages.

Ces techniques proposent des modes de protection differents. La protection concernant la bande passante est un problème serieux pour un webmaster, car elle interesse non plus le contenu du site mais le serveur, avec des caractéristiques sensibles. Le script anti aspirateur étant générique, il peut apporter une solution interessante, adaptable à la problèmatique propre d’un site.